ما هي مجموعات الأمان وكيف تتحكم في الوصول؟

Question

Accepted Answer

**مجموعات الأمان** هي جدران حماية افتراضية تتحكم في **حركة المرور الداخلة والخارجة** إلى موارد AWS (مثل EC2 instances) — وتحدد أي المنافذ والبروتوكولات والمصادر مسموحة. تعتبر أساسية لأمان الشبكة في AWS.

## ما الذي تفعله مجموعات الأمان

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## أمثلة على القواعد

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## نمط قوي: الإشارة إلى مجموعات أمان أخرى

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## مجموعات الأمان مقابل NACLs

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## لماذا هذا مهم

فهم مجموعات الأمان مهم لأنها أساسية لـ **أمان شبكة AWS** — تتحكم في حركة المرور التي يمكنها الوصول إلى مواردك — لذا فهي معرفة عملية أساسية لنشر الموارد بشكل آمن.

تعمل مجموعات الأمان كـ **جدران حماية افتراضية** تحدد حركة المرور (المنافذ والبروتوكولات والمصادر) المسموحة من وإلى الموارد، مع نموذج آمن بشكل افتراضي (السماح فقط بالقواعس؛ كل شيء لم يُسمح به صراحة يتم رفضه) وسلوك حالة (الاستجابات لحركة المرور المسموحة يتم السماح بها تلقائياً).

فهم كيفية تكوين القواعد بشكل صحيح ضروري للأمان — على سبيل المثال، السماح بـ HTTP/HTTPS من أي مكان لخادم ويب لكن **تقييد وصول SSH بعناوين IP محددة** (وليس الإنترنت كله — وهي ممارسة شائعة ومهمة، حيث أن فتح SSH للعالم يشكل خطر أمني).

**نمط قوي للإشارة إلى مجموعات أمان أخرى** (السماح لمجموعة أمان قاعدة البيانات بقبول حركة المرور فقط من مجموعة أمان خوادم التطبيق، بغض النظر عن عناوين IP الخاصة بهم) يتيح بناء **هندسات أمان متعددة الطبقات نظيفة** (ويب → تطبيق → قاعدة بيانات، حيث تقبل كل طبقة فقط حركة المرور من الطبقة السابقة) — وهو نهج أفضل الممارسات الذي يقلل التعرض ويتبع أقل امتياز على مستوى الشبكة.

فهم **مجموعات الأمان مقابل NACLs** (مجموعات الأمان على مستوى الموارد كالأداة الأساسية الحالة التي تسمح فقط؛ NACLs على مستوى الشبكة الفرعية كطبقة ثانوية أخشن وعديمة الحالة) يوضح نموذج أمان الشبكة الطبقي.

بما أن التحكم في وصول الشبكة إلى الموارد أساسي لأمان AWS (الوصول المكوّن بشكل خاطئ — مثل المنافذ المفتوحة بشكل مفرط أو SSH/قوائم قواعد البيانات في العالم — يسبب ثغرات أمنية حقيقية)، وبما أن مجموعات الأمان هي الآلية الأساسية لهذا (مع نمط الإشارة إلى مجموعة الأمان الذي يتيح هندسات أمان متعددة الطبقات آمنة)، فإن فهم مجموعات الأمان معرفة AWS عملية أساسية مهمة لنشر الموارد بشكل آمن — موضوع أمان أساسي حيث أن التكوين الصحيح (تقييد الوصول بشكل مناسب، استخدام مراجع مجموعات الأمان متعددة الطبقات) يمنع مباشرة التعريضات على مستوى الشبكة التي تؤدي إلى الانتهاكات.